La croyance aux mythes peut être inoffensive. Mais pas en matière de cybercriminalité
Octobre, « cybersecurity month ». Beaucoup de bonne volonté. Mais certains mythes ont encore la vie dure. Peter Vandeput, Business Unit Lead Cybersecurity, Inetum Belgium, en brise trois.
« Les hackers ne ciblent que les grandes entreprises »
De nombreuses entreprises pensent encore que les cybercriminels les épargneront. « Nous ne sommes qu’une petite entreprise familiale, pourquoi des hackers nous attaqueraient-ils ? » Ce raisonnement est inexact. Les hackers ne s’intéressent pas à ce que l’on produit ou propose, mais à la rapidité et à la facilité avec lesquelles ils peuvent nous extorquer de l’argent. La cybercriminalité est un modèle économique lucratif.
Cela fait des grandes comme des petites entreprises des cibles potentielles. Selon une étude d’Europol, les PME sont de plus en plus visées par des attaques de ransomware. Elles ne disposent souvent pas des budgets ou des équipes spécialisées que les grandes organisations peuvent mobiliser, ce qui laisse leurs portes numériques plus souvent ouvertes. Se croire « trop petit » ou « pas assez intéressant » revient à sous-estimer le risque et augmente en réalité les chances d’être attaqué.
« Quelques outils de sécurité suffisent à me protéger »
Beaucoup d’organisations pensent qu’investir dans différents outils de détection, combinés à un SOC, suffit à les sécuriser. Mais cette supposition n’est pas tout à fait correcte.
Un SOC est un service qui surveille les cybermenaces pesant sur une organisation. Il détecte les menaces à partir des données et des traces numériques collectées, réagit aux incidents et travaille à améliorer la sécurité numérique. On peut le comparer à une centrale d’alarme pour une maison : elle reçoit des signaux des capteurs et émet une alerte en cas d’activité suspecte. Mais si certaines fenêtres ou portes restent ouvertes, le cambrioleur peut toujours entrer. Il en va de même en ligne : installer un logiciel de sécurité basé sur l’IA sans personne pour suivre les alertes et agir revient à créer une fausse impression de sécurité.
Une vraie protection nécessite plus que de la technologie. Des règles claires et l’implication des personnes restent le facteur le plus important. Les entreprises devraient également recourir à des services spécialisés qui assurent une surveillance permanente et interviennent immédiatement en cas de menace.
« Je ne cours aucun cyber-risque depuis chez moi »
De nombreux employés pensent qu’ils travaillent de manière aussi sécurisée depuis leur domicile que dans un espace de coworking ou au bureau. Or, les réseaux domestiques et publics sont souvent moins bien sécurisés. Les appareils privés comme les smartphones et les tablettes utilisent souvent le même réseau que les appareils professionnels. Comme ces appareils sont moins bien protégés, ils constituent une porte d’entrée facile pour les hackers. Les routeurs sont également à risque : beaucoup fonctionnent encore avec les paramètres par défaut ou des logiciels obsolètes, ce qui facilite leur exploitation par des criminels. Le wifi public est aussi souvent peu fiable. Tous ces facteurs augmentent la probabilité que des hackers accèdent à des données sensibles.
Il ne s’agit pas seulement du wifi, mais aussi de la façon dont les employés utilisent leur ordinateur portable. Tout le monde peut-il surfer librement sur n’importe quel navigateur et n’importe quel site web ? Cela se fait-il via un VPN ou non ? Beaucoup d’entreprises protègent encore insuffisamment leurs collaborateurs à distance, ce qui rend l’accès aux données critiques trop facile. Les entreprises doivent aussi mieux surveiller la manière dont les employés partagent des données et des documents via des outils cloud (genAI), car ceux-ci exposent souvent des informations sensibles. Sans règles claires, surveillance continue et couches de sécurité supplémentaires, le télétravail reste un maillon faible.